Cumplimiento en la grabación de llamadas: guía práctica (2026)

Aviso legal: Este artículo es información general, no asesoramiento legal. Las leyes sobre grabación de llamadas, consentimiento y protección de datos varían mucho según el país, el estado y el sector, y cambian con el tiempo. Confirme sus obligaciones concretas con un abogado cualificado antes de basarse en cualquier práctica descrita aquí.

La grabación de llamadas es una de las prácticas más útiles, y más delicadas desde el punto de vista legal, de un centro de contacto de llamadas salientes. Las grabaciones impulsan el control de calidad, el coaching de agentes, la resolución de disputas y la evidencia ante los reguladores. Pero una grabación hecha sin el consentimiento adecuado o gestionada sin las salvaguardas necesarias puede pasar de ser un activo a ser un pasivo. Esta guía repasa las preguntas clave que todo BPO, operación de cobranza, revendedor de telecomunicaciones y centro de contacto regulado debería responder: cuándo puede grabar, cómo debe informar a las personas, cuánto tiempo puede conservar las grabaciones y qué controles técnicos apoyan realmente el cumplimiento.

Consentimiento de una parte frente a consentimiento de dos partes (de todas las partes)

El concepto más importante de la legislación sobre grabación de llamadas es quién tiene que estar de acuerdo antes de grabar una conversación. En términos generales, las jurisdicciones se dividen en dos grupos:

• Consentimiento de una parte: Solo uno de los participantes en la llamada necesita dar su consentimiento para la grabación. Dado que su propio agente participa en la llamada y da su consentimiento al realizar la grabación, las normas que exigen el consentimiento de una sola parte suelen ser el estándar más fácil de cumplir.
• Consentimiento de todas las partes (dos partes): Todos los participantes deben dar su consentimiento. En la práctica, esto significa que necesita el acuerdo informado de la otra parte, que normalmente se obtiene mediante un aviso claro al inicio de la llamada junto con su permanencia en ella, o con un «sí» explícito.

En Estados Unidos, esta división varía de un estado a otro. La mayoría de los estados aplica la norma de una sola parte, pero varios exigen el consentimiento de todas las partes; California es el ejemplo más citado, y otros estados como Florida, Illinois, Pensilvania y Washington suelen incluirse en la categoría más estricta. La lista exacta y sus matices cambian con el tiempo y según los hechos de cada caso, por lo que deliberadamente no publicamos aquí una tabla exhaustiva de los 50 estados: tome estos casos solo como ejemplos conocidos y verifique la norma vigente en cada estado al que llame.

Hay dos complicaciones prácticas que importan a los equipos de llamadas salientes:

• Llamadas transfronterizas. Cuando las partes se encuentran en jurisdicciones diferentes, puede aplicarse la norma más estricta. Una opción segura por defecto para campañas en varios estados o internacionales es operar como si se exigiera el consentimiento de todas las partes.
• La prueba de la «expectativa razonable de privacidad». Muchas leyes dependen de si una de las partes esperaba razonablemente que la conversación fuera privada. Un aviso claro desde el inicio responde directamente a esto, al eliminar la expectativa de una llamada privada y sin grabar.

Aviso y notificación: la opción práctica por defecto

Como a menudo no se puede saber de antemano qué jurisdicción rige una llamada determinada, la mejor práctica operativa es informar de la grabación en cada llamada. Un aviso breve y claro, como «Esta llamada puede ser grabada con fines de calidad y formación», justo al comienzo de la conversación hace la mayor parte del trabajo:

• Elimina cualquier expectativa razonable de privacidad.
• Da a la persona llamada la oportunidad de oponerse o colgar antes de entrar en el fondo de la conversación.
• Crea un patrón coherente y auditable en todas las campañas y en todos los idiomas.

En operaciones multilingües, el aviso debe darse en el idioma en que se realiza la llamada. La coherencia y la posibilidad de demostrarlo importan tanto como la redacción: poder probar que el mensaje de aviso se reprodujo en una llamada concreta suele valer más que cualquier variante del guion.

RGPD: base jurídica y transparencia en la UE

En la UE y el Reino Unido, una grabación de voz que permite identificar a una persona constituye datos personales, por lo que el Reglamento General de Protección de Datos (RGPD) se aplica además de cualquier norma sobre consentimiento para grabar. Dos pilares del RGPD son especialmente relevantes:

• Base legal. Necesita una base válida para tratar la grabación: normalmente el interés legítimo (con una prueba de ponderación documentada), la ejecución de un contrato o el consentimiento explícito, según la finalidad. El consentimiento para ser grabado y la base legal para tratar la grabación están relacionados, pero son distintos.
• Transparencia. Se debe informar a las personas, de forma clara y con antelación, de que se las está grabando, por qué, durante cuánto tiempo se conserva la grabación y cómo ejercer sus derechos (acceso, supresión, oposición). Los datos de categorías especiales (por ejemplo, datos de salud que surgen en una llamada de cobranza o de atención sanitaria) están sujetos a condiciones más estrictas.

Para un análisis más detallado del RGPD aplicado a las llamadas salientes, consulte nuestra guía del RGPD para call centers de llamadas salientes.

Consideraciones sobre las PDPL del CCG

En los países del Consejo de Cooperación del Golfo, las leyes de protección de datos personales (PDPL) de mercados como Arabia Saudita, los Emiratos Árabes Unidos, Baréin y Catar imponen cada vez más obligaciones al estilo del RGPD: una base legal definida, transparencia ante la persona, limitación de la finalidad, minimización de datos y, en varios regímenes, controles de residencia de datos o de transferencias internacionales. Si graba llamadas de clientes o interlocutores ubicados en el CCG, prevea los requisitos locales de aviso y esté preparado para documentar dónde se almacenan las grabaciones y quién puede acceder a ellas. Como en cualquier otro lugar, confirme el texto vigente y las normas sectoriales con un abogado local.

Requisitos sectoriales adicionales: PCI-DSS y sanidad

Algunos contenidos son tan sensibles que las reglas generales no bastan:

• Datos de tarjetas de pago (PCI-DSS). Si la persona que llama dicta un número de tarjeta y su código de seguridad, almacenar ese audio puede hacer que quede dentro del alcance de PCI-DSS. El enfoque habitual es pausar y reanudar la grabación, o enmascarar el audio, en el momento en que se capturan los datos de la tarjeta, de modo que los datos sensibles de autenticación nunca lleguen a escribirse en la grabación.
• Sanidad y otras categorías especiales. La información de salud, los detalles de dificultades financieras y otros contenidos sensibles similares elevan el listón en cuanto a base legal, control de acceso y retención. Minimice lo que captura, restrinja quién puede escuchar y acorte la retención cuando pueda justificarlo.

Almacenamiento seguro: cifrado en tránsito y en reposo

Una grabación solo es tan conforme como el entorno que la almacena. Las expectativas básicas para operaciones reguladas incluyen:

• Cifrado en tránsito para que las grabaciones y sus metadatos estén protegidos al moverse entre sistemas.
• Cifrado en reposo para que el audio y las transcripciones almacenados sean ilegibles si el almacenamiento subyacente se ve comprometido.
• Segregación e integridad para que las grabaciones estén separadas lógicamente por tenant o campaña y no puedan alterarse sin dejar rastro.

Controles de acceso y mínimo privilegio

Quién puede escuchar una grabación importa tanto como el hecho de que exista. Aplique el principio de mínimo privilegio: conceda el acceso por rol, no de forma generalizada; exija autenticación; y, sobre todo, registre cada acceso para poder demostrar quién escuchó qué y cuándo. Los registros de acceso suelen ser la evidencia que satisface a un auditor o responde a la reclamación de un interesado. Ocultar o enmascarar los campos sensibles limita aún más la exposición, incluso para el personal autorizado.

Retención y eliminación

«¿Cuánto tiempo debemos conservar las grabaciones de llamadas?» es una de las preguntas más frecuentes, y no existe una cifra universal única. La retención responde a fuerzas contrapuestas, y el periodo adecuado es el resultado de equilibrarlas según su sector y jurisdicción:

• Mínimos reglamentarios. Algunos regímenes exigen conservar determinados registros durante un periodo definido (por ejemplo, pruebas de disputas o de verificación en contextos financieros o de telecomunicaciones regulados).
• Conservación por disputas y litigios. Las grabaciones vinculadas a una disputa, reclamación o asunto legal en curso deben conservarse hasta que este se cierre, por encima de la eliminación rutinaria.
• La presión de la minimización de datos. El RGPD y las normas de tipo PDPL empujan en sentido contrario: no conserve datos personales más tiempo del necesario para la finalidad declarada.

La respuesta práctica es definir un calendario de retención documentado por tipo de grabación, aplicar la eliminación automática cuando venza el plazo y permitir conservaciones legales que suspendan la eliminación de registros concretos. Como los mínimos y las normas varían mucho, defina su calendario con un abogado en lugar de adoptar una cifra que haya leído en internet.

Consideraciones sobre la transcripción con IA

Transcribir y analizar las grabaciones aporta valor (control de calidad con búsqueda, alertas por palabras clave, resúmenes), pero una transcripción sigue siendo un dato personal y hereda las mismas obligaciones que el audio del que procede. Puntos que debe prever:

• Las transcripciones y los análisis derivados se rigen por las mismas reglas de base legal, acceso y retención que la grabación de origen.
• El tratamiento automatizado puede exigir más transparencia o, en algunos regímenes, salvaguardas en torno a decisiones automatizadas significativas: mantenga a una persona en el circuito para los resultados con consecuencias relevantes.
• La transcripción multilingüe debe realizarse con IA sensible al idioma para que la precisión se mantenga en todos los idiomas que realmente hablan sus agentes.

Vea cómo se integra la transcripción con la grabación en Transcripción de DialerBee.

Buenas prácticas por ámbito

Controles de grabación que apoyan el cumplimiento

Las políticas solo funcionan cuando las herramientas las aplican. DialerBee ofrece controles que apoyan el cumplimiento que convierten las prácticas anteriores en algo operativo y no solo en una aspiración:

• Captura del consentimiento y mensajes de aviso — anuncios de grabación configurables que se reproducen automáticamente, por campaña y por idioma, con un registro de que el mensaje se reprodujo. Consulte grabación de llamadas.
• Cifrado — grabaciones y transcripciones protegidas en tránsito y en reposo.
• Configuración de retención — calendarios de retención por tipo, con eliminación automatizada y soporte para conservaciones legales.
• Registros de acceso — acceso basado en roles con un registro de quién escuchó qué y cuándo.
• Automatización de políticas — reúna las reglas de grabación, consentimiento y retención con el piloto automático de cumplimiento y la plataforma más amplia de controles de cumplimiento.

Estos controles apoyan el cumplimiento, pero no lo garantizan por sí solos; sus políticas, su formación y la revisión legal siguen siendo esenciales. Para las reglas, muy relacionadas, sobre cuándo puede marcar en primer lugar, complemente esta guía con nuestra guía de cumplimiento de la TCPA.

Preguntas frecuentes

¿Necesito el consentimiento de una parte o de dos partes para grabar una llamada?

Depende de dónde se encuentren las partes. Algunas jurisdicciones permiten el consentimiento de una sola parte, es decir, basta con que un participante (a menudo su agente) esté de acuerdo, mientras que otras exigen el consentimiento de todas las partes (dos partes); California es un ejemplo conocido de la norma más estricta. En campañas en varios estados o transfronterizas, lo más seguro por defecto es tratar cada llamada como si exigiera el consentimiento de todas las partes y avisar de la grabación desde el inicio. Confirme con un abogado las normas concretas que se aplican.

¿Basta con decir «esta llamada puede ser grabada»?

Un aviso claro al inicio de la llamada es una práctica sólida y, en muchas jurisdicciones de consentimiento de una parte, permite obtener en la práctica el consentimiento necesario, ya que elimina cualquier expectativa razonable de privacidad y da a la persona la oportunidad de oponerse. En jurisdicciones de consentimiento de todas las partes y bajo regímenes de protección de datos como el RGPD, también puede necesitar un consentimiento documentado u otra base legal, además de un aviso de transparencia más completo. El aviso es necesario, pero no siempre suficiente por sí solo.

¿Cuánto tiempo debo conservar las grabaciones de llamadas?

No existe una cifra universal única. La retención depende de los mínimos regulatorios, de las conservaciones por disputas o litigios en curso y de las normas de minimización de datos, que le obligan a no conservar los datos más tiempo del necesario. El enfoque práctico es un calendario de retención documentado por tipo de grabación, eliminación automática al vencer el plazo y excepciones por conservación legal, definido con su abogado para su sector y jurisdicción en lugar de copiar una cifra genérica.

¿Cómo cumplir con PCI-DSS cuando quien llama dicta números de tarjeta en voz alta?

Evite por completo capturar datos de tarjeta en la grabación. La técnica habitual es pausar y reanudar la grabación, o enmascarar el audio, justo cuando se pronuncian el número de tarjeta y el código de seguridad, de modo que los datos sensibles de autenticación nunca se escriban en el almacenamiento. Así la grabación sigue siendo útil para el control de calidad y se reduce su alcance PCI-DSS.

¿Las transcripciones de llamadas tienen las mismas obligaciones legales que el audio?

Sí. Una transcripción que permite identificar a una persona es un dato personal y hereda las mismas obligaciones de base legal, control de acceso y retención que la grabación de origen. El análisis automatizado puede añadir requisitos de transparencia, y para los resultados con consecuencias relevantes debe mantener a una persona en el circuito. Trate las transcripciones, incluidas las multilingües generadas por IA que reconoce el idioma, con el mismo cuidado que las grabaciones de las que proceden.